PCIデータセキュリティ基準（PCI DSS）は，クレジットカードのカード情報と取引情報を保護するため，六つの目的と，それを達成するための12のデータセキュリティ要件を定めている。六つ目の目的は「情報セキュリティ・ポリシーの整備」である。

　PCI DSSでは，会社全体のセキュリティへの認識レベルを決定するセキュリティ・ポリシーの整備を求めている。このセキュリティ・ポリシーは，従業員に何を期待しているかの情報を与えるものでなければならない。

　セキュリティ・ポリシーは，ISMSなどに代表されるほかの認証規格のために作成したものでも代用できるが，上記の要件を満足したものであるかどうかは確認しなければならない。特に，要件12.1.1に規定されているように，PCI DSSのすべての要件に対応しているかを確認する必要がある。

　また，要件12.1.3に規定されているように，セキュリティ・ポリシーを定期的に見直し，必要があれば更新しなければならない。見直し実施時には，セキュリティ・ポリシーが新たな脅威に関しても対応していることが分かるように，見直しの実施記録を残しておくことが望ましい。要件12.1.2にリスク評価についての要件があるが，これは次回解説する。

運用セキュリティ手順

　PCI DSSの要件に適した運用を確実に実現するために，手順書を作成する必要がある。

　運用セキュリティ手順書には以下のような内容を記載する必要がある（表1）。これらは必ずしも一つの文書に記載する必要はないが，全部の内容を手順書として網羅している必要がある。

重要技術の使用ポリシー

　重要な技術を適切に使用するためのポリシーを作成する必要がある。

　ここにある「重要な技術」とは，PCI DSSの各要件が適用されるシステム構成要素で採用される技術のうち，カード会員データおよびセンシティブ認証データの保管，伝送，処理にかかわる技術のことを指している。PCI DSSでは，システム構成要素として序文で以下を挙げている（表2）。

人的セキュリティ対策

　PCI DSSでは，従業員と契約社員を対象として，人的セキュリティを維持することを求めている。

　要件12.4では，すべての従業員と契約社員の情報セキュリティに関する責任を定義することを求めている。一方，要件12.5では，情報セキュリティマネジメントにおいて重要な業務あるいは役割について，その責任の所在を明確にすることを求めている。

　要件12.6では，すべての従業員に対してセキュリティの重要性を認識するためのプログラムを整備することを求めている。このプログラムには，教育・訓練以外にも，ポスター掲示や朝礼での訓話などの注意喚起も含まれる。集合研修の受講後にアンケートや簡単なテストを併せて実施することも効果的である。